特定ドメインに対する大量の DNSクエリを DROP する - Pepabo Tech Portal
ホスティング事業部MREチームでインフラエンジニアをやっている原口です。 先日、弊社の DNSサービスに対し、軽めの DDoS攻撃が来たので、その際に対応した手順を簡単にご紹介します。 DNSサービスに対する DDoS攻撃への対応について DNSサービスに対する DDoS攻撃は昔からあり、弊社でも対策を行っております。 拠点や回線を分け、冗長化を行うのはもちろんですが、各拠点で「DDoS軽減装置」と言われるアプライアンスを導入しています。これは、不正なパケットを DROP をするものですが、一般的なファイアウォールのようなルールベースではなく、学習結果をもとに、通常とは異なる傾向のアクセスがあると動作するものになっています。 今回紹介する対応は、この DDoS軽減装置をすり抜ける程度の、軽めの DDoS攻撃に対して行ったものです。 DNSサービスの構成 今回 DDoS攻撃が来たサービスでは
DNS サーバーの TTL を短くしすぎることの弊害はありますか？
三つほどあります。 DNSキャッシュポイズニングの成功確率が上がる。 DNSキャッシュポイズニングとはDNSの応答に割り込んで偽情報を送り込んでしまう攻撃です。DNSキャッシュポイズニングが成功した場合、全く別のサーバーへアクセスさせることが可能になります。具体的に言うと、ja.stackoverflow.comのAレコードについてスタック・オーバーフローとは全く関係無いサーバーのIPアドレスにしてしまうと言うことです。この状態でブラウザでスタック・オーバーフローを見ようとすると、全くの偽サイトが表示させるという事になり、ログイン情報が盗まれたり、ウィルスに感染させられたりする可能性があります。被害を受けるのはサーバー側では無く、サーバーにアクセスする側、つまり、利用者側であると言うことに注意してください。 DNSサーバー自体はTCPを用いたクエリ、ソースポートランダム化、DNSSEC等の
お名前.comからRoute53へネームサーバーを変更する時に迷子になる人へ - Qiita
はじめに Webサービス開発に携わると ドメインはお名前.comで取得した！ けどインフラはAWSで構築したい！ という状況が割とよくあり、その度にお名前.comで取得したネームサーバーをRoute53へ変更したり、変更を依頼したりするのですが、私みたいに久しぶりに触って設定の場所どこだっけ？と迷子になる人や、同じ状況で初めてネームサーバーを切り替える人向けにまとめてみました。 事前準備 Route53でHosted Zoneを作り、対象ドメイン用のネームサーバーを用意しておく お名前.comでレコードを設定していたら事前に全てRoute53側にも追加しておく（※） ※ すでにサーバー運用やGoogle appsなどでメールを利用していたりした場合、切り替え前にRoute53側にAレコードやMXレコードを用意し忘れると、切り替え後はRoUte53側に設定されているDNSレコードで名前解決さ
DNS: 短いTTLのリスク
(Last Updated On: 2014年12月5日)TTLが短いとDNSキャッシュサーバがドメイン権限を持ったDNSサーバにクエリに行く機会が増える（当たり前ですがDNSキャッシュサーバはTTLで指定された時間だけレコード情報をキャッシュしてドメイン権限を持つDNSサーバにクエリしない）ので危険と言う話。1秒に一回キャッシュを更新するほうが1時間に一回キャッシュを更新するよりDNSキャッシュ汚染が行いやすくなる、という当たり前の事です。DNSキャッシュが汚染可能である事、その汚染の仕組みを知らない方には思いがけないリスク増加かもしれません。 7ページ目に記載されている数式だけではどれが何だか分かりませんが、Nはポート数を表しているはずです。ポートが固定されていると16^2の組み合わせしかない、と言う話は良く知られていると思います。DNSを管理している人なら誰でも知っていると思いますが
A cartoon intro to DNS over HTTPS – Mozilla Hacks - the Web developer blog
Threats to users’ privacy and security are growing. At Mozilla, we closely track these threats. We believe we have a duty to do everything we can to protect Firefox users and their data. We’re taking on the companies and organizations that want to secretly collect and sell user data. This is why we added tracking protection and created the Facebook container extension. And you’ll be seeing us do m
DNS over QUICの提案仕様が出た - ASnoKaze blog
2020/04/28 追記 仕様の名前が少々変わりましたが、WG Draftとなり作業は引き続き続けられています。 「Specification of DNS over Dedicated QUIC Connections」 QUICの標準化とアプリケーションレイヤ IETFでQUICの標準化が活発に行われており、トランスポート・TLS・HTTP各レイヤのドラフト仕様の改定が進められております。 標準化を行うにあたって当初より、DNSのトランスポートとしてQUICを使用したいという話題は出ていましたが、QUICワーキンググループのチャーターでは、まずはQUICのアプリケーションレイヤとしてHTTPの標準化を行ってから他のアプリケーションプロトコルについて進める旨書かれている。 とはいえDNS over QUICをやりたい人はいるようで、4/11にインターネットドラフトが出されている。共著者
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft PowerPoint - iw2006-DNS-DAY-minda-05.ppt
http://www.rarpa.net/?p=5985
dns-penetration-problem-why-can-not-i-say-penetration-kichijojipm15